Про звернення керівника Другого підрозділу детективів Головного підрозділу детективів Національного антикорупційного бюро України О. Карєєва

До Центральної виборчої комісії 21 березня 2017 року надійшло звернення керівника Другого підрозділу детективів Головного підрозділу детективів Національного антикорупційного бюро України О. Карєєва від 20 березня 2017 року № 042-102/10131 щодо надання належним чином завірених копій або фотокопій оригіналів таких документів та інформації:

"1.1. що посвідчують фінансово-господарські взаємовідносини Центральної виборчої комісії за період 2007-2012 р.р. та пов’язані з впровадженням та функціонуванням Державного реєстру виборців, зокрема: договори, контракти з додатковими угодами, додатки та специфікації до них, акти виконаних робіт, надання послуг, приймання-передачі, введення в експлуатацію, початку використання програмного забезпечення тощо, платіжні доручення, банківські виписки та інші розрахункові документи, реєстри отриманих та виданих податкових накладних, податкових накладних, рахунки-фактури, видаткові накладні, товарно-транспортні накладні, сертифікати, ліцензії, довіреності, оборотно-сальдові відомості по рахункам, документація щодо судово-претензійної діяльності, листів або інших внутрішніх документів, відповідно до яких вбачається факт переписки щодо закупівлі товарів, робіт та послуг тощо;

1.2. у випадку відсутності зазначених в п. 1.1. документів, прошу повідомити інформацію щодо їх місцезнаходження (з наданням інформації про номери кримінальних проваджень, дат їх реєстрації, підрозділів, які здійснюють досудове розслідування, дат вилучення документів), а також надати копії документів, відповідно до яких останні були вилучені та які свідчать про факт їх вилучення (копії описів тощо);

1.3. у випадку, якщо підприємство не є безпосереднім виробником товарів, надавачем послуг або виконавцем робіт - прошу надати аналогічний пункту 1.1. перелік документів, що посвідчують фінансово-господарські взаємовідносини з підприємствами, які виступали в якості субпідрядників", а також надання інформації про:

"2.1. зазначених в п. 1.1. та 1.3. запиту відносин: установчі дані осіб (прізвище, ім’я, по батькові, дата народження, посада), які приймали участь в укладенні, підписанні договору та у виконанні договірних зобов’язань (в тому числі щодо підписання актів), повідомити статус договору (чи виконано тощо), дату закінчення виконання договору;

2.2. місцезнаходження інформації про виборців (в яких електронно-обчислювальних машинах (комп’ютерах), автоматизованих системах, комп’ютерних мережах або носіях такої інформації зберігається і оброблюється відповідна інформація), а також нормативно-правових актів, якими передбачено функціонування відповідного Державного реєстру виборців;

2.3. розміру інформації, яка зберігається і оброблюється в Державному реєстрі виборців (інформацію надати станом на час першого запуску програмного забезпечення, за допомогою якого функціонувала система, станом на 01.01.2007, 01.01.2008, 01.01.2009, 01.01.2010, 01.01.2011, 01.01.2012, 01.01.2013 та станом на сьогоднішній день);

2.4. адреси, за якою розташована відповідна інформаційно-телекомунікаційна система та програмно-апаратний комплекс; мов програмування, за допомогою яких створений відповідний програмний комплекс; того, ким саме та яким чином здійснюється оновлення програмного комплексу; щодо того, яким чином здійснюється захист програмного комплексу, з зазначенням переліку основних та допоміжних програм та методів захисту програмного комплексу;

2.5. суми, витраченої в 2007-2017 роках на інформаційно-телекомунікаційну систему Державний реєстр виборців (з наданням інформації по кожному року та джерелу фінансування окремо);

2.6. даних працівників ЦВК, які приймали участь у встановленні та налагодженні роботи серверів та іншого обладнання, на якому зберігається програмне забезпечення та інформація щодо виборців;

2.7. даних адміністраторів вищевказаної автоматизованої системи та осіб, які надають доступ для роботи з Державним реєстром виборців; також необхідно надати копії посадових інструкцій відповідних осіб;

2.8. даних осіб, які мають доступ (в тому числі, SSH-доступ, rootдоступ) до кожного сервера, які використовуються під час роботи системи, а також способів з’єднання цих осіб з серверами Державного реєстру виборців (комп’ютери користувачів знаходяться за NAT, використовується VPN-мережа тощо);

2.9. ір-адрес серверів, які використовувались для SSH-доступу, а також електронно-обчислювальних машин (комп’ютерів), за допомогою яких здійснюється доступ до інформації та робота з нею;

2.10. даних осіб, відповідальних за складання інвентарних карток, укладених на виконання договірних зобов’язань, пов’язаних з Державним реєстром виборців;

2.11. надходження на адресу ЦВК запитів від правоохоронних органів про обставини закупівлі обладнання, пов’язаного з функціонуванням Державного реєстру виборців (коли, від кого, номер кримінального провадження та за якими вихідними номерами)".

Розглянувши вказане звернення, Центральна виборча комісія зазначає.

Відповідно до статті 8 Конституції України (254к/96-ВР) в Україні визнається і діє принцип верховенства права. Конституція України (254к/96-ВР) має найвищу юридичну силу. Закони та інші нормативно-правові акти приймаються на основі Конституції України (254к/96-ВР) і повинні відповідати їй.

Статтею 19 Конституції України (254к/96-ВР) визначено, що правовий порядок в Україні ґрунтується на засадах, відповідно до яких ніхто не може бути примушений робити те, що не передбачено законодавством.

Органи державної влади та органи місцевого самоврядування, їх посадові особи зобов’язані діяти лише на підставі, в межах повноважень та у спосіб, що передбачені Конституцією (254к/96-ВР) та законами України.

Пунктом 3 частини першої статті 17 Закону України "Про Національне антикорупційне бюро України" (1698-18) передбачено, що Національному антикорупційному бюро України (далі - НАБУ) та його працівникам для виконання покладених на них обов’язків надається право витребовувати за рішенням керівника структурного підрозділу НАБУ та одержувати в установленому законом порядку у вказаному в запиті вигляді та формі від інших правоохоронних та державних органів, органів місцевого самоврядування інформацію, необхідну для виконання обов’язків НАБУ, у тому числі відомості про майно, доходи, видатки, фінансові зобов’язання осіб, які ними декларуються у встановленому законом порядку, відомості про використання коштів Державного бюджету України, розпорядження державним або комунальним майном.

Разом з тим, відповідно до частини другої статті 14 Закону України "Про Державний реєстр виборців" (698-16) (далі - Закон) Центральна виборча комісія є розпорядником Державного реєстру виборців (далі - Реєстр), який, серед іншого, забезпечує та контролює дотримання вимог Закону у процесі створення та ведення Реєстру, забезпечує його організаційне і технологічне функціонування.

При цьому згідно з частиною другою статті 3 Закону України "Про Центральну виборчу комісію" (1932-15) Комісія зобов’язана діяти лише на підставі, в межах повноважень та у спосіб, що передбачені Конституцією України (254к/96-ВР) та законами України, повинна комплексно та системно застосовувати положення усіх законів України, в тому числі законів щодо захисту інформації.

Як зазначено в Рішенні Конституційного Суду України від 23 травня 2001 року в справі № 6-рп/2001 (v006p710-01) , кримінальне судочинство - це врегульований нормами Кримінального процесуального кодексу України (4651-17) (далі - КПК України) порядок діяльності органів дізнання, попереднього слідства, прокуратури і суду (судді) щодо порушення, розслідування, розгляду і вирішення кримінальних справ, а також діяльність інших учасників кримінального процесу - підозрюваних, обвинувачених, підсудних, потерпілих, цивільних позивачів і відповідачів, їх представників та інших осіб з метою захисту своїх конституційних прав, свобод та законних інтересів.

Частиною першою статті 9 КПК України (4651-17) встановлено, що під час кримінального провадження суд, слідчий суддя, прокурор, керівник органу досудового розслідування, слідчий, інші службові особи органів державної влади зобов’язані неухильно додержуватися вимог Конституції України (254к/96-ВР) , КПК України (4651-17) , міжнародних договорів, згода на обов’язковість яких надана Верховною Радою України, вимог інших актів законодавства.

Водночас КПК України (4651-17) містить засоби правового захисту від довільного зазіхання з боку органів влади, включаючи, крім іншого, і заборону вилучення будь-яких документів і речей, що не мають прямого відношення до справи, яка розслідується.

Відповідно до частини першої статті 93 КПК України (4651-17) збирання доказів здійснюється сторонами кримінального провадження, потерпілим, представником юридичної особи, щодо якої здійснюється провадження, у порядку, передбаченому КПК України.

Згідно з частиною другою вказаної статті сторона обвинувачення здійснює збирання доказів шляхом проведення слідчих (розшукових) дій та негласних слідчих (розшукових) дій, витребування та отримання від органів державної влади, органів місцевого самоврядування, підприємств, установ та організацій, службових та фізичних осіб речей, документів, відомостей, висновків експертів, висновків ревізій та актів перевірок, проведення інших процесуальних дій, передбачених КПК України (4651-17) .

Порядок тимчасового доступу до документів під час досудового розслідування врегульовано главою 15 розділу ІІ КПК України (4651-17) , за змістом якої стороні кримінального провадження надається право тимчасового доступу до документів ухвалою слідчого судді, суду.

Крім того, Центральна виборча комісія звертає увагу, що статтею 163 КПК України (4651-17) також закріплено обов’язок сторони кримінального провадження довести зв’язок між кримінальним провадженням та витребовуваними документами і суттєвість значення цих документів для встановлення важливих обставин у кримінальному провадженні.

Відтак законодавство України встановлює чіткі правові механізми для надання стороні кримінального провадження тимчасового доступу до документів особою, у володінні якої вони знаходяться.

Водночас Комісія зазначає, що з 2008 року на веб-порталі уповноваженого органу з питань закупівель (https://tender.me.gov.ua, з 1 серпня 2016 року - https://prozorro.gov.ua) Комісія забезпечує розміщення документів та інформації про закупівлі відповідно до законодавства України, а отже, вони перебувають у відкритому публічному доступі.

При цьому видатки з Державного бюджету України за бюджетною програмою 6731050 "Функціонування Державного реєстру виборців" за період 2007-2017 роки становили:

2007 рік - 0,0 тис. грн;

2008 рік - 35 879,9 тис. грн;

2009 рік - 40 638,8 тис. грн;

2010 рік - 16 185,9 тис. грн;

2011 рік - 13 674,8 тис. грн;

2012 рік - 9 368,5 тис. грн;

2013 рік - 13 512,7 тис. грн;

2014 рік - 16 083,7 тис. грн;

2015 рік - 16 454,2 тис. грн;

2016 рік - 30 424,6 тис. грн;

2017 рік - 2,72 тис. грн.

Щодо складання інвентарних карток стосовно виконання договірних зобов’язань, пов’язаних з функціонуванням Реєстру, Комісія зазначає, що працівниками відділу бухгалтерського обліку та звітності Секретаріату Центральної виборчої комісії здійснюється ведення інвентарних карток обліку основних засобів.

Стосовно запитуваної інформації щодо функціонування та захисту автоматизованої інформаційно-телекомунікаційної системи "Державний реєстр виборців" (далі - АІТС Реєстру) Центральна виборча комісія окремо звертає увагу на таке.

Відповідно до статті 2 Закону України "Про захист інформації в інформаційно-телекомунікаційних системах" (80/94-ВР) об’єктами захисту в інформаційно-телекомунікаційній системі є інформація, що обробляється в ній, та програмне забезпечення, яке призначено для обробки цієї інформації.

Згідно із Законом (698-16) АІТС Реєстру призначена для зберігання, обробки даних, які містять передбачені Законом відомості, та користування ними, створена для забезпечення державного обліку громадян України, які мають право голосу відповідно до статті 70 Конституції України (254к/96-ВР) (далі - виборці).

Право брати участь в управлінні державними справами, у всеукраїнському та місцевих референдумах, вільно обирати і бути обраними до органів державної влади та органів місцевого самоврядування віднесено до гарантованих Конституцією України прав громадян, гарантом додержання яких відповідно до статті 102 Основного Закону України (254к/96-ВР) є Президент України.

Однією з основних засад ведення Реєстру є його захищеність, що означає забезпечення захисту бази даних Реєстру від несанкціонованого доступу та зловживання доступом, від незаконного використання персональних даних Реєстру, порушення цілісності бази даних Реєстру та його апаратного чи програмного забезпечення (пункт 9 частини першої, частина десята статті 3 Закону (698-16) ).

Згідно зі статтею 11 Закону (698-16) Центральна виборча комісія як розпорядник Реєстру, органи ведення Реєстру у взаємодії з Державною службою спеціального зв’язку та захисту інформації України, під час ведення Реєстру забезпечують його захист, у тому числі захист цілісності бази даних Реєстру, його апаратного та програмного забезпечення, достовірності даних Реєстру, його захист від несанкціонованого доступу, незаконного використання, незаконного копіювання, спотворення, знищення даних Реєстру, безпеку персональних даних виборців відповідно до Закону та законів України "Про захист інформації в інформаційно-телекомунікаційних системах" (80/94-ВР) , "Про захист персональних даних" (2297-17) , міжнародних договорів у сфері захисту інформації, згода на обов’язковість яких надана Верховною Радою України.

Відтак АІТС Реєстру, її складові елементи, інформація про які запитується, є охоронюваним законом державним інформаційним ресурсом.

З огляду на вказане Комісія вважає за можливе надати на зазначене звернення такі відомості.

Інформація про виборців в АІТС Реєстру зберігається в системі збереження оперативних даних, що розміщена в центрі обробки даних Центральної виборчої комісії.

Разом з тим, резервні копії бази даних Реєстру, що містять інформацію про виборців, зберігаються на носіях, які знаходяться в Центральній виборчій комісії та у Державній службі спеціального зв’язку та захисту інформації України.

Правові та організаційні засади створення і ведення Реєстру встановлено Законом (698-16) .

Центральна виборча комісія, яка здійснює свою діяльність відкрито і публічно (частина перша ( 1932-15 )статті 4 Закону України "Про Центральну виборчу комісію"), розміщує прийняті нею акти на своєму офіційному веб-сайті. Такі акти зберігаються в Комісії чи передаються до відповідної державної архівної установи на зберігання.

Хронологічна фіксація статистичних даних щодо розміру бази даних Реєстру не здійснюється.

Елементи програмно-апаратного комплексу АІТС Реєстру центрального рівня розташовано в центрі обробки даних Служби розпорядника Державного реєстру виборців (далі - Служба) за адресою: пл. Лесі Українки, 1, м. Київ.

Відповідно до протокольного рішення Центральної виборчої комісії від 2 жовтня 2008 року № 9 (vp009359-08) "Про забезпечення розробки програмних засобів створення та ведення автоматизованої інформаційно-телекомунікаційної системи "Державний реєстр виборців" розробка програмних засобів АІТС Реєстру забезпечувалася Службою, в приміщеннях якої розташовані засоби розробки, налаштування та управління АІТС Реєстру, а всі зазначені роботи були виконані працівниками відповідних структурних підрозділів Служби.

Встановлення і налагодження роботи серверів та іншого обладнання АІТС Реєстру здійснюється за участі працівників управління захисту інформації та адміністрування систем Реєстру Служби.

Телекомунікаційна мережа АІТС Реєстру є закритою VPN-мережею, яка об’єднує локальні мережі органів Реєстру та забезпечує обмін даними між усіма робочими станціями і серверами центру обробки даних.

IP-адреси робочих станцій, серверів є внутрішніми для мережі вказаної системи і формуються за встановленими в системі правилами з урахуванням адміністративного устрою України.

До Центральної виборчої комісії від правоохоронних органів щодо обставин закупівлі обладнання, пов’язаного з функціонуванням Реєстру, надходили такі звернення:

Також Центральна виборча комісія зауважує, що постановою Комісії від 14 березня 2016 року № 74 (v0074359-16) затверджено Порядок доступу Національного антикорупційного бюро України до бази даних Державного реєстру виборців та встановлено форму попередження про відповідальність за порушення вимог Закону (698-16) .

Водночас Центральна виборча комісія наголошує, що відомості стосовно створення, функціонування і захисту АІТС Реєстру можуть належати до службової інформації за умови застосування сукупності вимог пунктів 1 - 3 частини другої статті 6 Закону України "Про доступ до публічної інформації" (2939-17) щодо обмеження доступу до інформації, а саме:

виключно в інтересах національної безпеки, територіальної цілісності або громадського порядку з метою запобігання заворушенням чи злочинам, для охорони здоров’я населення, для захисту репутації або прав інших людей, для запобігання розголошенню інформації, одержаної конфіденційно, або для підтримання авторитету і неупередженості правосуддя;

розголошення інформації може завдати істотної шкоди цим інтересам;

шкода від оприлюднення такої інформації переважує суспільний інтерес в її отриманні.

Запитувана керівником Другого підрозділу детективів Головного підрозділу детективів Національного антикорупційного бюро України О. Карєєвим інформація щодо "ip-адрес серверів, які використовувалися до SSH-доступу", а також "електронно-обчислювальних машин (комп’ютерів), за допомогою яких здійснюється доступ до інформації та робота з нею" Службою віднесена до службової інформації.

Обмеження доступу до такої інформації здійснюється в інтересах національної безпеки, захисту прав людей, оскільки Реєстр створено для забезпечення державного обліку виборців, основним завданням якого є складання списків виборців для проведення виборів і референдумів в Україні, та відповідно до вимог Закону (698-16) повинен забезпечуватися захист бази даних Реєстру від несанкціонованого доступу та зловживання доступом, від незаконного використання персональних даних Реєстру, порушення цілісності бази даних Реєстру та його апаратного чи програмного забезпечення.

Надання вказаної інформації щодо базових принципів функціонування та захисту АІТС Реєстру може призвести до порушення безпеки інформації цієї системи і, як наслідок, неможливості забезпечення захисту бази даних Реєстру від несанкціонованого доступу та зловживання доступом, від незаконного використання персональних даних Реєстру, порушення цілісності бази даних Реєстру та його апаратного чи програмного забезпечення, а порушення захищеності Реєстру заблокує підготовку виборів або референдуму, а відтак поставить під загрозу реалізацію конституційних виборчих прав громадян України та права на участь у референдумі.

Загроза зриву виборів до органів державної влади, місцевого самоврядування, референдумів у зв’язку з наданням вказаної інформації стосовно Реєстру переважує суспільний інтерес в її отриманні.

Водночас збирання сукупності запитуваних відомостей щодо функціонування і захисту АІТС Реєстру без зазначення законної мети такого збирання обумовлює можливість їх розголошення, що може нашкодити інформаційній безпеці України, поставивши під загрозу захист Реєстру, в тому числі його апаратного та програмного забезпечення.

Поширення інформації щодо організації функціонування АІТС Реєстру, такої як ІР-адреси серверів для їх адміністрування, доступ для адміністрування, надає можливість виявити всі зовнішні системи і всі підключення до внутрішніх систем, а також визначити вразливі місця системи для організації кібератак.

Наявність у будь-якої не передбаченої законом особи інформації про об’єкт атаки створює загрози для розпізнавання системою захисту несанкціонованих дій щодо системи, зумовлює можливість входу в систему. Це у свою чергу створює реальну загрозу для організації несанкціонованої точки доступу для подальших проникнень у систему.

Сама система, яка є об’єктом злочинних посягань, може бути потенційним стартовим майданчиком для проникнення в усі внутрішні підсистеми, з огляду на що всі дії виконуватимуться без можливості виявлення адміністраторами.

Слід зазначити, що за період функціонування веб-порталу Реєстру в мережі Інтернет з 2011 року Службою виявлено та заблоковано велику кількість атак на веб-сервер та телекомунікаційне обладнання, що забезпечують роботу порталу.

У зв’язку з цим Комісія наголошує, що відповідно до статті 221 КПК України (4651-17) , яка регулює порядок ознайомлення з матеріалами досудового розслідування до його завершення, слідчий, прокурор зобов’язаний за клопотанням сторони захисту, потерпілого, представника юридичної особи, щодо якої здійснюється провадження, надати їм матеріали досудового розслідування для ознайомлення, за виключенням матеріалів про застосування заходів безпеки щодо осіб, які беруть участь у кримінальному судочинстві, а також тих матеріалів, ознайомлення з якими на цій стадії кримінального провадження може зашкодити досудовому розслідуванню. При цьому відмова у наданні для ознайомлення загальнодоступного документа, оригінал якого знаходиться в матеріалах досудового розслідування, не допускається, а під час ознайомлення з матеріалами досудового розслідування особа, що його здійснює, має право робити необхідні виписки та копії.

За таких обставин збір запитуваної інформації становить потенційну загрозу інформаційній безпеці держави, оскільки існує реальна загроза та можливість її передачі особам, які беруть участь у збройному конфлікті на сході України та незаконній окупації території нашої держави.

Зважаючи на вказане, збирання зазначеної у зверненні інформації стосовно функціонування і захисту АІТС Реєстру може свідчити про наявність ознак злочинів, передбачених статтями 111, 365 Кримінального кодексу України (2341-14) , згідно з якими діяння, умисно вчинене громадянином України на шкоду, зокрема, інформаційній безпеці України, є державною зрадою, а також перевищенням влади або службових повноважень.

Враховуючи викладене, відповідно до статей 19, 102 Конституції України (254к/96-ВР) , частини першої статті 9, частин першої та другої статті 93, статей 159, 163 Кримінального процесуального кодексу України (4651-17) , статей 3, 11 Закону України "Про Державний реєстр виборців" (698-16) , частини третьої статті 21 Закону України "Про інформацію" (2657-12) , статей 6, 9 Закону України "Про доступ до публічної інформації" (2939-17) , статті 4 Закону України "Про основи національної безпеки України" (964-15) , статті 26 Закону України "Про Національне антикорупційне бюро України" (1698-18) , статті 2 Закону України "Про прокуратуру" (1697-18) , статті 2 Закону України "Про Службу безпеки України" (2229-12) , керуючись частиною другою статті 3, статтями 11 - 13, статтею 26 Закону України "Про Центральну виборчу комісію" (1932-15) , Центральна виборча комісія постановляє:

1. Надати тимчасовий доступ до речей і документів, указаних у зверненні керівника Другого підрозділу детективів Головного підрозділу детективів Національного антикорупційного бюро України О. Карєєва від 20 березня 2017 року № 042-102/10131, або які містять запитувану інформацію, особі, зазначеній в ухвалі слідчого судді, суду про тимчасовий доступ до речей і документів, у разі пред’явлення оригіналу такої ухвали та вручення її копії.

2. Копії цієї постанови надіслати Президенту України, Верховній Раді України, Раді національної безпеки і оборони України, Адміністрації Державної служби спеціального зв’язку та захисту інформації України, а також Генеральній прокуратурі України, Службі безпеки України, Національному антикорупційному бюро України для організації перевірки щодо наявності ознак злочинів, передбачених статтями 111, 365 Кримінального кодексу України, та вжиття за необхідності відповідних заходів реагування.

3. Цю постанову оприлюднити на офіційному веб-сайті Центральної виборчої комісії.